『Windows セキュリティの専門的な？質問です』 の クチコミ掲示板

[新５００円硬貨]

Windows セキュリティで　設定→プライバシーとセキュリティ　→デバイスセキュリティ　→コア分離

と進むと
　→ファームウェアプロテクション　
　→メモリアクセスプロテクション

がある機種があるそうなのですが、これはIntel第14世代やAMDのAM5で存在する項目でしょうか？
https://learn.microsoft.com/ja-jp/windows/security/hardware-security/system-guard-secure-launch-and-smm-protection#windows-security

このような画面のようなのですが、新機種をお持ちの方、ご存じないですか？
サーバ機等上位クラスのマシンの設定項目なのでしょうか？

書込番号：25603195

[ムアディブ]

ググったらすぐ出てくるけど、、、

https://blogs.windows.com/japan/2019/12/09/microsoft-and-partners-build-firmware-protection-into-secured-core-pcs/

>新しいデバイス要件を特別に設計された PC に組み込み、〜は Secured-core PC と呼ばれます。

https://jpn.nec.com/products/bizpc/promotion/secured-corepc/index.html

端末からありますな。
まぁ、エッジに対策しないでなんのセキュリティかという気がしますけど。

家に新型のカギを付けるのと同じで、これもいずれ破られるんだろうけど普及するまでは安全度は高そうですね。

書込番号：25603232

[ムアディブ]

こっちの方が答えになってるかな。
https://pc.watch.impress.co.jp/docs/topic/special/1318727.html

ハードウェア要件がイマイチはっきりしないんだけど、vProでないとダメとか、Windows Enterprize版でないとフル機能使えないとかありますね。

もっともfirmwareと言ってるのはどうもUEFIのことのようだから、UEFIの書き換えをどうやってプロテクトしているのかさっぱりですけど。
元々UEFIのセキュアブートは、UEFIのコア部分がUEFI自体を測定しているのでガードはされてるんですよね。
どっちかというと、ブート領域からUEFIのアドオン?を読み込む仕組みやロゴ表示の機能を利用されているので、それをどうやってガードできると言ってるのか良くわかりませんけど。

https://www.microsoft.com/en-us/security/blog/2019/10/21/microsoft-and-partners-design-new-device-security-requirements-to-protect-against-targeted-firmware-attacks/

自動翻訳:「Windows 10はブート プロセスをファームウェア攻撃から保護するための主要なセキュアコア PC デバイス要件としてSystem Guard Secure Launchを実装するようになりました。System Guard は、AMD、Intel、Qualcomm の最新シリコンに組み込まれている Dynamic Root of Trust for Measurement (DRTM) 機能を使用して、システムがファームウェアを活用してハードウェアを起動し、その直後にシステムを再初期化できるようにします。」

DRTMが要件だということはわかったけど、これだとWin11要件満たしていればいいことになる。

まぁ、ゲーマーが喜んで買うようなCPUはvPro乗って無いから無理かなという気はしますけど。

書込番号：25603287

[新５００円硬貨]

情報ありがとうございました。
UEFIへの外部からの書き換えのプロテクトをするとなると、低Vcc動作(1.4v-1.65v)で機能が「読み込み」のみの状態で立ち上げるとか？
↓コレ
https://www.mxic.com.tw/Lists/Datasheet/Attachments/8681/MX25U12873F,%201.8V,%20128Mb,%20v1.2.pdf
Low Vcc write inhibit is from 1.0V to 1.4V

マザーボードに電圧の切り替えスイッチとかが実装されてるなら、できない事はなさそうだけど解除する時どこ弄るんだろう
業務で使うPCだからそもそも更新する機会は限られてるのかな？

LoJax: First UEFI rootkit found in the wild, courtesy of 云々と書かれてるページが検索でヒットしましたが、うわぁ・・って感じですね
Macそんなに良いのか・・・単にプロプライエタリなモノだとばかり

書込番号：25603749

[ムアディブ]

UEFIの書き換えは、できないと脆弱性パッチあてられなくなるからハードウェアだけでは実現出来ませんね。
そもそもOS配下のソフトから出来るなら、どうやって保護するのかと。

特殊なハイパパイザーモードを検知して書き換え可能にするハードウェアを実装して、ハイパバイザーは特定の署名がないと書き込ませないように脆弱性が絶対に組み込まれないような短いコードでコアを組んでおく、みたいな仕組みかなぁとは想像するけど、MSがやってる仕組みって基本的にドキュメントが出てこないんで簡単には調べられないだろうなと想像します。

書込番号：25603797